AdonisJS HTTP Server: Reguläre Ausdrücke führen zu Denial of Service im Slug-Matcher

Zusammenfassung

Das Paket HTTP Server des AdonisJS-Frameworks für Node.js enthält im integrierten Slug-Route-Matcher einen regulären Ausdruck, der übermässig viel CPU-Zeit benötigen kann (ReDoS). Ein nicht authentifizierter Angreifer kann einen langen, speziell gestalteten Slug in einem Routenparameter senden, auf den der Matcher angewendet wird. Dadurch kann die Node.js-Event-Loop blockiert werden, und der Worker verarbeitet keine weiteren Anfragen mehr, einschliesslich Health Checks. Das Route-Matching läuft vor Route- und Gruppen-Middleware ab, weshalb Authentifizierung oder Rate Limiting auf der Route diese Anfrage möglicherweise nicht verhindern.

Betroffen

• @adonisjs/http-server Versionen vor 8.2.2
• @adonisjs/http-server Versionen 9.0.0 bis (ausschliesslich) 9.1.1
• Nur Anwendungen, die router.matchers.slug() auf vom Angreifer kontrollierbare Routenparameter anwenden, sind betroffen.

Behoben in

• Auf 8.2.2 oder 9.1.1 aktualisieren (oder auf eine neuere Version derselben Linie).

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden. Unbekannt.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden. Unbekannt.
• CVSS 4.0 Basisscore 8.7 (hoch) laut CNA; CVSS 3.1 Score 7.5 (hoch) laut Tenable. NVD-Analyse ausstehend.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Prüfen, ob internetexponierte AdonisJS-Anwendungen @adonisjs/http-server unterhalb der korrigierten Versionen verwenden und ob sie router.matchers.slug() auf Routenparametern aufrufen.
• Betroffene Anwendungen im nächsten Wartungsfenster auf 8.2.2 oder 9.1.1 oder eine neuere Version aktualisieren.
• Bis zum Patch die betroffenen Routen am Reverse Proxy oder WAF einschränken oder vorschalten und sicherstellen, dass Health Checks und Prozessüberwachung einen blockierten Worker rasch neu starten können.
• Vor der Meldung an Kunden CISA KEV und das Herstelleradvisory erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-524c-h47v-m3h8 github.com
• Release v8.2.2 github.com
• Release v9.1.1 github.com
• Fix commit 86af38c github.com
• Fix commit d8c749a github.com
• GitLab Advisory Database advisories.gitlab.com
• OSV CVE-2026-104150 osv.dev
• Tenable CVE-2026-104150 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:27.